只有发布者可以编辑

本课属于 Coddy Django 学习旅程的“基于类的视图”单元。第 16 课，共 18 课。

以 grace 的身份登录，然后打开 /jobs/python-developer-brightline/edit/：这份职位由 ada 发布，grace 可以修改它。职位页面只向发布者显示“编辑”，但任何人都可以输入这个地址或发送 POST 请求，因此视图本身必须拒绝请求。

UserPassesTestMixin 会在视图运行前调用你编写的方法 test_func()。当它返回 True 时，请求会通过。当它返回 False 时，已登录的用户会收到 403 Forbidden 响应，无论请求是 GET 还是 POST 都一样。食谱网站不允许任何人修改已发布的食谱：

class RecipeUpdateView(LoginRequiredMixin, UserPassesTestMixin, UpdateView):
    model = Recipe
    fields = ["title", "minutes"]

    def test_func(self):
        return not self.get_object().published

这个测试会在视图查找数据行之前运行，因此 self.object 此时还不存在。self.get_object() 会根据 URL 查找数据行，和视图接下来的查找方式相同。

挑战

中等

只有发布职位的人可以编辑或删除职位。在 jobs/views.py 中，将 UserPassesTestMixin 添加到 JobUpdateView 和 JobDeleteView，放在 LoginRequiredMixin 之后。只有发布该职位的用户才能通过测试，其他人无论使用 GET 还是 POST 请求，都会收到 403 Forbidden。

以 grace（coddy-pass-123）的身份登录，然后打开 /jobs/python-developer-brightline/edit/：该职位是 ada 发布的，所以你会看到 403 Forbidden。

亲手试试

from django.contrib.auth.mixins import LoginRequiredMixin
from django.urls import reverse_lazy
from django.views.generic import CreateView, DeleteView, DetailView, ListView, TemplateView, UpdateView

from .models import Job


class HomeView(TemplateView):
    template_name = "jobs/home.html"

    def get_context_data(self, **kwargs):
        context = super().get_context_data(**kwargs)
        context["count"] = Job.objects.count()
        context["latest"] = Job.objects.order_by("-posted").first()
        return context


class AboutView(TemplateView):
    template_name = "jobs/about.html"


class JobListView(ListView):
    model = Job
    context_object_name = "jobs"
    ordering = ["-posted"]
    paginate_by = 5

    def get_queryset(self):
        jobs = super().get_queryset()
        city = self.request.GET.get("city")
        if city:
            jobs = jobs.filter(city=city)
        return jobs


class JobDetailView(DetailView):
    model = Job


class JobCreateView(LoginRequiredMixin, CreateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]

    def form_valid(self, form):
        form.instance.posted_by = self.request.user
        return super().form_valid(form)


class JobUpdateView(LoginRequiredMixin, UpdateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]


class JobDeleteView(LoginRequiredMixin, DeleteView):
    model = Job
    success_url = reverse_lazy("jobs:list")